将Spring security 3.0升级到Spring security 3.1时Spring security不工作

Question

我已经成功地将spring security 3.0集成到web应用程序中，并且运行良好，现在我要将spring security 3.0升级到3.1，我的CustomAuthenticationManager遇到问题，每当我尝试登录时，CustomAuthenticationManager都会被呼叫两次。所以，在第一次用户身份验证成功并返回usernamePasswordAuthenticationToken，但这个类再次被调用，这次主体返回正确的值，但凭据返回null，因此用户身份验证失败，并再次重定向到登录页面，这就是为什么我永远无法登录。

CustomAuthenticationManager：

public class CustomAuthenticationProvider implements AuthenticationProvider {
    @Autowired
    private ILoginService loginService;
    public Authentication authenticate(Authentication authentication)
            throws AuthenticationException {
        UsernamePasswordAuthenticationToken usernamePassswordAuthenticationToken = new UsernamePasswordAuthenticationToken(
                authentication.getPrincipal(), authentication.getCredentials());
        if (loginService.authenticateUser((String) authentication.getPrincipal())) {
            if (loginService.validateUserIdAndPass((String) authentication.getPrincipal(), (String) authentication.getCredentials())) {
                usernamePassswordAuthenticationToken.setAuthenticated(false);
            } else
                throw new BadCredentialsException(
                        "Username/Password does not match");
        } else
            throw new BadCredentialsException(
                    "Username/Password does not match");
        return usernamePassswordAuthenticationToken;
    }
    public boolean supports(Class<? extends Object> authentication) {
        return authentication.equals(UsernamePasswordAuthenticationToken.class);
    }
}

我的应用程序ContextSecurity。xml:

<global-method-security pre-post-annotations="enabled">     
    </global-method-security>  
    <beans:bean id="myAccessDecisionManager"
        class="com.app.common.security.repository.MyAccessDecisionManager"> 
    </beans:bean> 

    <http auto-config="true" once-per-request="true"
        access-decision-manager-ref="myAccessDecisionManager" access-denied-page="/jsp/errorPage.jsp">

        <intercept-url pattern="/*.app"  access="ROLE_ANONYMOUS"/>  

         <form-login login-page="/login.app" login-processing-url="/j_spring_security_check"
            default-target-url="/login/validate.app"
            authentication-failure-url="/login.app?login_error=1" />
        <logout logout-url="/j_spring_security_logout"
            logout-success-url="/login.app" invalidate-session="true" /> 
        <session-management invalid-session-url="/login.app"
            session-fixation-protection="newSession">
            <concurrency-control max-sessions="100"
                error-if-maximum-exceeded="false" />
        </session-management>
    </http>

    <authentication-manager>
        <authentication-provider ref="customAuthenticationProvider"></authentication-provider>
    </authentication-manager>

    <beans:bean id="customAuthenticationProvider"
        class="com.app.common.security.repository.CustomAuthenticationProvider">        
    </beans:bean>

请告诉我哪里错了。

Answer 1

自Spring 3.0.3（及更高版本）以来，默认的AuthenticationManagerProviderManager会在尝试验证后清除凭据（第1493节）。您必须是旧版本（Spring Security的3.0.3之前）的用户。

您的CustomAuthenticationProvider也有缺陷，因为在成功的身份验证之后，您应该将authenticated设置为true（否则扩展AbstractSecurityInterceptor的拦截器将重新尝试身份验证）。

链接

1. SEC-1493
2. ProviderManager源代码
3. AbstractSecurityInterceptor javadoc